路径: 主页 > GB/T > 第207页 > GB/T 40651-2021 | 标准编号 | GB/T 40651-2021 (GB/T40651-2021) | | 中文名称 | | | 英文名称 | Information security technique - Entity authentication assurance framework | | 行业 | 国家标准 (推荐) | | 中标分类 | L80 | | 字数估计 | 26,292 | | 发布机构 | 国家市场监督管理总局、中国国家标准化管理委员会 | GB/T 40651-2021
Information security technique -- Entity authentication assurance framework
ICS 35.030
CCSL80
中华人民共和国国家标准
信息安全技术 实体鉴别保障框架
2021-10-11发布
2022-05-01实施
国 家 市 场 监 督 管 理 总 局
国 家 标 准 化 管 理 委 员 会 发 布
目次
前言 Ⅲ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 缩略语 2
5 保障框架 3
6 参与方角色职责 4
6.1 概述 4
6.2 实体 4
6.3 凭证服务提供方 4
6.4 注册机构 4
6.5 依赖方 4
6.6 验证方 4
6.7 可信第三方 4
7 主要环节 4
7.1 通则 4
7.2 登记环节 5
7.3 凭证管理环节 5
7.4 鉴别环节 7
7.5 联合环节 7
8 保障等级 8
8.1 保障等级分类 8
8.2 身份保障等级划分原则 8
8.3 鉴别器保障等级划分原则 8
8.4 联合保障等级划分原则 9
8.5 保障等级的选取 9
8.6 保障等级的映射和互操作性 9
9 管理要求 10
9.1 概述 10
9.2 服务资质 10
9.3 信息安全管理和审查 10
9.4 外包服务监管 10
9.5 服务保障准则 10
附录A (资料性) 威胁分析和风险控制 11
A.1 概述 11
A.2 登记环节的威胁分析和风险控制 11
A.3 凭证管理环节的威胁分析和风险控制 12
A.4 鉴别环节的威胁分析和风险控制 15
A.5 联合环节的威胁分析和风险控制 19
附录B (资料性) 个人信息的保护 21
参考文献 22
前言
本文件按照GB/T 1.1-2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定
起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。
本文件起草单位:联想(北京)有限公司、国民认证科技(北京)有限公司、中国科学院数据与通信保
护研究教育中心、中国科学院软件研究所、中国电子技术标准化研究院、格尔软件股份有限公司、中国信
息通信研究院、北京国民安盾科技有限公司。
本文件主要起草人:柴海新、李俊、李汝鑫、吕娜、陈天宇、张严、郝春亮、郑强、宁华、傅山、沈明峰、
顾小卓。
信息安全技术 实体鉴别保障框架
1 范围
本文件确立了实体鉴别的保障框架,规定了各参与方角色的职责、实体鉴别的主要流程环节以及实
体鉴别保障等级的类别和等级划分原则,并规定了实体鉴别保障所需的管理要求。
本文件适用于实体鉴别服务的安全测试和评估,并为其他实体身份鉴别相关标准的制定提供依据
和参考。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文
件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于
本文件。
GB/T 25069-2010 信息安全技术 术语
GB/T 35273-2020 信息安全技术 个人信息安全规范
3 术语和定义
GB/T 25069-2010界定的以及下列术语和定义适用于本文件。
3.1
断言 assertion
验证方生成的对实体进行鉴别的结果。
注:可能包含实体属性信息或授权信息等。
3.2
鉴别 authentication
用于对实体和其所呈现身份之间的绑定关系进行充分确认的过程。
3.3
鉴别器 authenticator
声称方拥有或掌握的可用于鉴别声称方身份的功能组件或方法。
注:鉴别器包含并绑定实体凭证或凭证生成方法,参与并执行特定的鉴别协议。
示例:密码模块、口令、口令生成器等。
3.4
在声称方和验证方之间定义的消息序列,使得验证方能够执行对声称方的鉴别。
3.5
鉴别因素 authenticationfactor
用于鉴别......
|